iptables и маски?

Если ничего не изменилось с тех пор как я с этим возюкался, то SIP поток нельзя просто снатить, надо убедиться что подгружены модули для nf filters
modprobe ip_conntrack_sip ip_nat_sip

нее, если акцепт в форварде сделаю просто адреса, все начнет ходить… наверное

в целом выглядит норм, можешь все правила сдампить?
iptables -L -v -n

а так только таблица фильтр показывается, в которой первый пару строк

Chain FORWARD (policy DROP 30304 packets, 1552K bytes)
 pkts bytes target     prot opt in     out     source               destination
  28M   19G ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
 2082  322K ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            connmark match  0x1/0x1 /* VoIP */

Ты наверное не в теме, но у SIP в заголовке запроса указывается IP и порт на котором вызывающий ожидает коннекты, поэтому тупой маскарад не всегда (никогда) работает. Поэтому тебе правильно сказали про не забыть модули поддержки SIP подгрузить

да попробовал я уже, не влияет это, наружу у локального астериска открыто так же, пакет в тспдампе вижу не проходит шлюз, на втором интерфейсе уже тишина

где то проблема с масками мне кажется

2082 пакета были приняты по твоим маскам, для чистоты можешь сбросить счётчики и попробовать ещё раз?

сбросил, теперь нули

Chain FORWARD (policy DROP 661 packets, 34016 bytes)
 pkts bytes target     prot opt in     out     source               destination
 2298  419K ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
    0     0 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            connmark match  0x1/0x1 /* VoIP */

Окэ, теперь для asterisk

а как для мангла и ната счетчики глянуть, если не сложно?

-t mangle -t nat

А форвардинг хоть вообще включён?

спасибо, мангл счетчики растут, а вот нат хрен!

Chain PREROUTING (policy ACCEPT 2212K packets, 150M bytes)
 pkts bytes target     prot opt in     out     source               destination
    0     0 DNAT       all  --  *      *       0.0.0.0/0            0.0.0.0/0            connmark match  0x10/0xfe /* VoIP */ to:локальныйадрес

Chain INPUT (policy ACCEPT 1062K packets, 63M bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain OUTPUT (policy ACCEPT 1933K packets, 133M bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain POSTROUTING (policy ACCEPT 1933K packets, 133M bytes)
 pkts bytes target     prot opt in     out     source               destination
30428 2012K SNAT       all  --  *      eth1    локальнаясеть/24      0.0.0.0/0            to:внешнийип1
    0     0 SNAT       all  --  *      eth0.41  локальнаясеть/24      0.0.0.0/0            to:внешнийип2

Намекну.

iptables-translate -A PREROUTING -i eth1 -j CONNMARK --set-xmark 0x100/0xfff
nft add rule ip filter PREROUTING iifname "eth1" counter ct mark set ct mark xor 0x100 and 0xfffff000

ну то что проблема с масками я догадался, как правильно вот не доходит )

речь о том, что она затирает, но не уточняет маску? если не сложно, как правильно сделать маркировку уточнения пакетов х100 х1 х101 и тыды, а потом выдергивать эти уточнения

или просто местами перставить…

речь о том, что она затирает, но не уточняет маску?

Она не затирает, она делает xor с нулём

как правильно сделать маркировку уточнения пакетов

Очевидно, сделать так, чтобы ксорила не с нулём. Например, так --set-xmark 0x100/0. Ну и внимательно читать документацию, что именно делают параметры у set-xmark

то что она ксорит то я знаю, хоть убейте не понимаю как сделать уточнения по ходу цепочек 111, 101, 110, 100 и тыды, а потом выдергивать эти 10 и 1 и 100

поменял все на нули, один фиг не работает

хотя минуту… вроде поехало